Guide · Conformité

NIS2 et PME : suis-je concerné, que faire maintenant ?

Un guide clair pour les dirigeants et responsables IT : périmètre, obligations, sanctions, état de la transposition en France et démarches utiles dès aujourd'hui.

Mis à jour le 13 octobre 2026 · Par l'équipe Kapelgy

Qu'est-ce que NIS2 ?

NIS2 est la directive européenne (UE) 2022/2555, adoptée fin 2022, qui renforce le niveau de cybersécurité des entités « essentielles » et « importantes » de l'Union. Elle remplace la première directive NIS (2016) en élargissant le nombre de secteurs, en durcissant les obligations et en introduisant des sanctions plus lourdes. Chaque État membre doit la transposer dans son droit national.

Qui est concerné ?

NIS2 s'applique, en principe, aux entités de taille moyenne ou grande : au moins 50 salariés, ou plus de 10 M€ de chiffre d'affaires annuel ou de total de bilan. Elles doivent aussi exercer leur activité dans un secteur listé par la directive.

Secteurs hautement critiques : énergie, transports, banques, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC pour les entreprises (dont les prestataires de services managés, ou MSP), administration publique, espace.
Autres secteurs critiques : services postaux, gestion des déchets, produits chimiques, alimentation, fabrication (dispositifs médicaux, électronique, machines, véhicules…), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux), recherche.
Quelle que soit leur taille, certaines entités sont visées : fournisseurs de réseaux ou services de communications électroniques publics, prestataires de services de confiance, registres de noms de domaine TLD et fournisseurs de services DNS.

Les entités sont classées essentielles ou importantes, ce qui change l'intensité de la supervision et le plafond des sanctions. Des estimations françaises évoquent plus de 15 000 entités concernées ; le périmètre définitif dépendra de la loi française de transposition.

Une PME qui n'est pas visée directement peut l'être indirectement : un client soumis à NIS2 doit maîtriser la sécurité de sa chaîne d'approvisionnement et peut imposer des exigences contractuelles à ses sous-traitants.

Quelles sont les obligations ?

La directive impose trois familles d'obligations.

1. Mesures de gestion des risques (article 21). Elles doivent être « appropriées et proportionnées » et couvrent au minimum :

l'analyse des risques et la politique de sécurité des systèmes d'information ;
la gestion des incidents ;
la continuité d'activité (sauvegardes, reprise après sinistre) et la gestion de crise ;
la sécurité de la chaîne d'approvisionnement ;
la sécurité de l'acquisition, du développement et de la maintenance, y compris le traitement des vulnérabilités ;
des procédures pour évaluer l'efficacité des mesures ;
l'hygiène informatique de base et la formation à la cybersécurité ;
le recours à la cryptographie et au chiffrement ;
la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs ;
l'authentification multifacteur et les communications sécurisées.

2. Notification des incidents importants (article 23). Alerte précoce sous 24 heures, notification d'incident sous 72 heures, rapport final au plus tard un mois après.

3. Gouvernance (article 20). La direction approuve les mesures, en supervise la mise en œuvre, doit être formée et peut voir sa responsabilité engagée.

Quelles sanctions ?

La directive prévoit des amendes administratives dont le plafond est, au minimum, de 10 M€ ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et de 7 M€ ou 1,4 % pour les entités importantes (le montant le plus élevé s'applique). Les montants et modalités définitifs seront fixés par la loi française.

Où en est la France ?

Situation au 13 octobre 2026. Cette section évolue vite : vérifiez toujours auprès des sources officielles listées en bas de page.

NIS2 n'est pas encore applicable en France. La directive (UE) 2022/2555 devait être transposée avant le 17 octobre 2024 ; le délai est dépassé.
La transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (« loi Résilience »), qui transpose aussi les directives REC et DORA. Il a été présenté en Conseil des ministres le 15 octobre 2024, adopté par le Sénat le 12 mars 2025, puis voté en commission spéciale de l'Assemblée nationale en septembre 2025.
Inscrit à l'ordre du jour de l'Assemblée nationale à partir du 7 octobre 2026, le texte a été retiré par la conférence des présidents du 6 octobre 2026, sans nouvelle date annoncée.
La Commission européenne a adressé à la France un avis motivé le 7 mai 2025 pour défaut de transposition complète.
L'ANSSI a publié le Référentiel Cyber France (ReCyF) le 17 mars 2026 pour aider les entités à se préparer, et propose un service de pré-enregistrement en ligne (MonEspaceNIS2). Elle recommande de ne pas attendre la promulgation pour anticiper les obligations.

Que faire dès maintenant quand on est une PME ?

Vérifier si vous êtes concerné : secteur d'activité, taille, et exigences éventuelles de vos clients grands comptes.
Cartographier vos actifs : serveurs, postes, services exposés sur Internet, prestataires et services cloud.
Appliquer l'hygiène de base : authentification multifacteur, correctifs à jour, sauvegardes testées, comptes administrateurs maîtrisés. Le guide d'hygiène informatique de l'ANSSI (42 mesures) est une bonne base.
Préparer la gestion d'incident : qui décide, qui alerte, comment notifier sous 24 et 72 heures.
Encadrer vos prestataires : clauses de sécurité, niveaux de service, réversibilité.
Former la direction et les équipes, et documenter les décisions.
Mesurer : un audit technique régulier donne un point de départ factuel pour prioriser.

Ce que Kapelgy peut faire, et ce qu'il ne peut pas faire

L'audit réseau Kapelgy fournit une photographie technique : ce qui est exposé, comment le chiffrement est configuré, quels contrôles techniques (socle ANSSI, NIS2, RGPD) sont satisfaits ou en écart, et un plan d'action priorisé.

Ce n'est pas une attestation de conformité NIS2. La conformité suppose aussi des éléments organisationnels et documentaires (gouvernance, politiques, procédures d'incident, gestion des fournisseurs) qui ne relèvent pas d'un audit automatisé. Kapelgy ne détient pas de qualification ANSSI (PASSI) à ce jour.

Questions fréquentes

NIS2 est-elle déjà applicable en France ?

Non. Tant que la loi de transposition n'est pas promulguée, les obligations de NIS2 ne s'imposent pas directement aux entreprises françaises. L'ANSSI recommande toutefois d'anticiper, car beaucoup de mesures relèvent de bonnes pratiques de sécurité.

Ma PME de 30 salariés est-elle concernée ?

En principe non, sauf si elle relève des catégories visées quelle que soit leur taille (fournisseurs de communications électroniques publiques, services de confiance, DNS et registres de noms de domaine). Elle peut néanmoins subir des exigences contractuelles de clients soumis à NIS2.

Quelle différence entre NIS2 et le RGPD ?

Le RGPD protège les données personnelles. NIS2 vise la sécurité des réseaux et des systèmes d'information et la continuité des services. Un même incident peut relever des deux, avec des obligations de notification distinctes.

Un audit suffit-il pour être conforme à NIS2 ?

Non. Un audit technique identifie des écarts et priorise les actions, mais la conformité exige aussi une gouvernance, des politiques, des procédures et des preuves documentaires.

Sources

Parlons de votre réseau

30 minutes pour cadrer votre besoin, sans engagement. Aucun test technique sans votre autorisation écrite.

Réserver un appel gratuit Voir l'audit réseau PME